| Auteur |
Message |
Grapy
Inscrit le: 05 Déc. 2008
Messages: 8
Statut : Absent
|
 Posté le:
05 Déc. 2008 - 16:01 |
 
|
| Sujet du message: [139-G] Traçabilité de l'information et messagerie |
Je souhaite faire connaître mon projet exposé dans le texte ci-joint "Les communications sécurisées comme je les vois" (voir aussi : http://fr.wikipedia.org/wiki/Utilisateur:Emile_Musyck). Le but de ce projet est la création de la traçabilité de l'information venue du web. Il y a quelques années, les responsables du contrôle vétérinaire ont compris l'impérieuse nécessité de pouvoir identifier les producteurs de viandes contaminées par la maladie de la vache folle. Si l'on veut s'affranchir des séquelles des virus informatiques, pourquoi ne pas procéder d'une manière semblable ?
L'étude concerne l'algorithme de chiffrement SED dont je suis l'inventeur et pour lequel j'expose les raisons mathématiques d'une certaine supériorité de cet algorithme, question sécurité, par rapport à l'AES. Une ébauche expérimentale d'une messagerie pour PC permettant l'envoi et la réception de messages chiffrés et recommandés peut être téléchargée à l'URL "http://www.ulb.ac.be/di/scsi/classicsys/experim.htm". Vous pouvez prendre deux affiliations (privé ou indépendant) et correspondre en mode chiffré de l'une à l'autre. L'intérêt ici est de comprendre le rôle de l'organisme de confiance qui effectue la gestion des clefs, ce que l'on ne retrouve nulle part ailleurs. Cette gestion des clefs pourrait être étendue, suivant le même principe, à celle des clefs pour effectuer la traçabilité des informations circulant sur la toile.
Bien cordialement,
Grapy (Emile Musyck) |
|
|
|
|
ipodpowa
Inscrit le: 12 Août 2008
Messages: 34
Statut : Absent
|
| Posté le:
06 Déc. 2008 - 07:36 |
|
|
ca existe deja et ca a ete teste y a 3 jour ^^ |
|
|
|
|
|
Grapy
Inscrit le: 05 Déc. 2008
Messages: 8
Statut : Absent
|
| Posté le:
06 Déc. 2008 - 23:30 |
|
|
| ipodpowa a écrit: |
| ca existe deja et ca a ete teste y a 3 jour ^^ |
Je comprends très bien que la lecture complète du texte susmentionné "Les communications sécurisées comme je les vois" est un peu rébarbatives pour les personnes étrangères au domaine de la cryptographie.
En lisant le texte, on verra que l'objet final de l'invention consiste en la réalisation d'une clef USB à insérer dans l'ordinateur et qui permet de déchiffrer toutes les informations venues du web. En cliquant sur une URL, l'internaute se connecte au serveur, lequel serveur se connecte à l'organisme de confiance et reçoit de celui-ci une clef de session propre à la liaison "serveur-internaute". Si les chiffrements et déchiffrements sont suffisamment rapides, l'internaute ne constatera aucune différence de temps d'exécution avec la situation actuelle des transferts d'informations en clair. C'est le défi à relever pour réaliser cette clef USB laquelle contient un ASIC qui effectue les chiffrements. Je crois que cela n'existe pas ailleurs, et certainement pas gratuitement.
Le fonctionnement d'un organisme de confiance peut être illustré par la prise d'une affiliation au cryptosystème Classicsys. Le logiciel expérimental ClassicTit.zip peut être téléchargé à l'URL: http://www.ulb.ac.be/di/scsi/classicsys/experim.htm . Ce logiciel constitue une messagerie qui effectue l'envoi et la réception de mails chiffrés effectués avec l'algorithme SED dont je suis l'inventeur. A ma connaissance, je ne connais pas de logiciels semblables où l'internaute n'est pas confronté à la gestion des clefs pour l'envoi et la réception des mails chiffrés. De plus, ce logiciel permet de recevoir de l'organisme de confiance un certificat d'authenticité, lequel peut être lu et vérifié par un internaute tiers. La vitesse de chiffrement de l'algorithme SED est de 20koctets par seconde en software. Avec un ASIC, la vitesse serait de l'ordre du tiers de la fréquence horloge du circuit.
L'organisme de confiance se compose de trois éléments. Il y a
1) le TA principal (Trust Authority) qui possède une clef secrète et transforme une information claire en chiffrée.
2) le TA serveur proprement dit reçoit les messages de l'internaute et dispose d'une liaison chiffrée avec le TA principal et le TA administratif. Ces messages concernent la réception d'une adresse publique, d'une clef secrète, des mises à jour et des certificats d'authenticité.
3) le TA administratif tient à jour les données non secrètes des internautes. Le gestionnaire a pour mission de vérifier la concordance de l'identité du futur affilié qu'il a donnée lors de son affiliation et celle figurant sur un document officiel. L'affilié obtient ainsi le statut d'affilié enregistré.
Les TA principal et serveur se trouvent dans un local protégé physiquement à l'Université Libre de Bruxelles et opèrent 24h/24h. Le TA administratif se trouve à mon domicile. Il va de soi que le gestionnaire du TA administratif ne connaît pas les clefs secrètes des internautes et ne peut, en aucune manière prendre connaissance du contenu des mails chiffrés.
Dans la vie courante, les informations relatives aux transferts financiers entre organismes financiers sont évidement effectuées par des liaisons chiffrées, ceci pour réaliser la certification des transferts, mais ces opérations sont payantes. |
|
|
|
|
|
BlDragon
Inscrit le: 11 Juin 2007
Messages: 246
Statut : Absent
|
| Posté le:
07 Déc. 2008 - 00:05 |
|
|
http://www.evidian.com/fr/press/pr09tway.htm
La première clé de sécurité universelle pour les échanges numériques
Paris, le 2 novembre, 2004. Bull Evidian élargit son offre de solutions pour la sécurité et la dématérialisation, en lançant une nouvelle génération de matériels de cryptographie et de solutions pour les Infrastructure de Gestion de Clés. Au coeur de cette nouvelle offre, une clé USB de sécurité offrira le premier moyen de confiance individuel et universel à haute sécurité.
Basées sur de nouvelles architectures de composants cryptographiques issues de développements pour des projets Européens et de Défense, les solutions TrustWay Génération 2005 sont dédiées aux entreprises et administrations des mondes de la défense, de la banque, des services publics et des industries sensible.
Ces solutions comprennent :
TrustWay RCI, le premier support de confiance hautement sécurisé à usage individuel et universel. Détenteur d'informations de sécurité, il est constitué d'une clé USB intégrant un processeur cryptographique entièrement développé en France.
TrustWay RCI permet de générer et stocker les certificats et clés de l'utilisateur, et d'assurer toutes les opérations de chiffrement, déchiffrement et signature nécessaires à l'utilisateur. Innovation majeure en matière de sécurité individuelle, TrustWay RCI offre ainsi une solution particulièrement simple, puissante et sûre pour de multiples applications : authentification forte / contrôle d'accès, signature électronique, chiffrement de disque dur et de fichiers, téléphonie chiffrée sur IP, sécurisation de la messagerie, VPN nomade,...
TrustWay CRX, une solution VPN IPSec d'encombrement réduit et à faible coût pour les grands environnements distribués (réseaux d'agences, filiales, télétravail,...). TrustWay CRX complète ainsi la gamme des équipements VPN TrustWay. Cette gamme s'étend désormais des appliances VPN pour agences ou usage individuel (xDSL jusque 4 Mb/s) aux appliances haut débit pour sites centraux.
Bull Evidian annonce également l'évaluation Critères Communs de ses cartes et appliances TrustWay, pour leur qualification standard par la DCSSI :
CC EAL2+ pour les appliances TrustWay VPN2
CC EAL4+ pour les appliances TrustWay Crypto PCI
Ces évaluations selon les Critères Communs, réalisées par un laboratoire indépendant, et la qualification DCSSI permettent d'assurer l'utilisateur que les produits TrustWay VPN et Crypto PCI sont conformes à leurs spécifications et à leurs objectifs de sécurité et offrent ainsi un haut niveau de protection.
Développé et fabriqué en France, TrustWay offre ainsi aux utilisateurs européens des solutions de cryptographie garantissant le plus haut niveau de confiance.
Les solutions TrustWay sont déjà déployées par de nombreuses entreprises et administrations des mondes de la défense, de la banque, des services publics et des industries sensibles. Elles sont également intégrées ou utilisées par de nombreux partenaires, parmi lesquels FT/Transpac et Keynectis.
Précisions techniques
TrustWay RCI
Constitué d'une clé USB intégrant un processeur cryptographique entièrement développé en France, TrustWay RCI permet de générer et stocker les certificats et clés de l'utilisateur, et d'assurer toutes les opérations de chiffrement, déchiffrement et signature.
A la différence des cartes à puce ou des clés USB du marché actuelles – qui doivent s'appuyer sur le CPU et l'environnement logiciel du PC pour assurer les opérations de chiffrement, s'exposant ainsi à des failles de sécurité – TrustWay RCI offre à la fois une parfaite sécurité individuelle et une grande puissance de traitement qui rend son usage universel. Toutes les opérations de chiffrement / déchiffrement sont traitées à l'intérieur de TrustWay RCI et la mise en oeuvre d'une technologie de CIK (Crypto Ignition Key), dont l'utilisation est habituellement réservée à des produits militaires, garantit un haut niveau de sécurité des clés en cas de perte ou de vol de TrustWay RCI.
Innovation majeure en matière de sécurité individuelle, TrustWay RCI offre ainsi une solution particulièrement simple, puissante et sûre pour de multiples applications : authentification forte / contrôle d'accès, signature électronique, chiffrement de disque dur et de fichiers, téléphonie chiffrée sur IP, sécurisation de la messagerie, VPN nomade,...
TrustWay CRX
TrustWay RCI est une solution VPN IPSec d'encombrement réduit et à faible coût pour les grands environnements distribués (réseaux d'agences, filiales, télétravail,...). Utilisant la même technologie de composant cryptographique à base de CIK que TrustWay RCI, TrustWay CRX conjugue à la fois les performances et la haute sécurité des matériels VPN TrustWay à une grande simplicité de déploiement et d'administration centralisée, y compris pour des environnements comprenant des milliers d'agences ou d'utilisateurs distribués.
TrustWay CRX complète ainsi la gamme des appliances VPN TrustWay, qui s'étend désormais des appliances VPN pour agences ou usage individuel (xDSL jusque 4 Mb/s) aux appliances haut débit pour sites centraux. |
|
|
|
|
|
Grapy
Inscrit le: 05 Déc. 2008
Messages: 8
Statut : Absent
|
| Posté le:
08 Déc. 2008 - 15:58 |
|
|
Bonjour BIDrragon,
Merci pour cette réponse rapide. Vous avez sélectionné, copié et collé un texte à finalité commerciale. Je ne doute pas que les produits de la société Evidian soient très valables, mais je n'y trouve pas les éléments d'ordre scientifique qui s'opposeraient à mon projet. Par contre, la compulsion des documents concernant la qualification DCSSI est fort instructive.
J'ajouterais que, dans tout système cryptographique, l'algorithme à choisir est peut-être le point le plus important à définir. Je pense que les arguments scientifiques que j'ai avancés et qui permettent d'évaluer l'algorithme SED sont probants. L'algorithme SED n'est peut-être pas un des plus rapides, mais de par sa structure, on peut affirmer que le caractère aléatoire du bloc chiffré par rapport au bloc clair sera optimum et rien ne peut être dit à ce point de vue pour l'AES.
Le second point de mon invention est d'utiliser l'algorithme SED pour chiffrer les informations reçues en sélectionnant une URL, et obtenir de ce fait, la garantie que l'auteur de l'information ait été enregistré par une institution reconnue. Il y a là une traçabilité de l'information envoyée ce qui empêchera tout acte de malveillance de l'auteur de cette information. Si l'algorithme est intégré dans un circuit ASIC, les chiffrements seront suffisamment rapides pour obtenir un même débit d'informations, quelles soient chiffrées ou non. Le système ne fait pas usage de l'algorithme RSA. Le concept d'une clef secrète associée à une clef publique est remplacé par une adresse publique associée à un vecteur secret créé par un serveur à distance.
Ma proposition ne serait valable que si une société de renom international peut jouer gratuitement le rôle d'organisme de confiance. Quand on pense aux nombreux logiciels qui rendent de si précieux services aux internautes et qui sont mis gratuitement à la disposition à tout un chacun par des sociétés telles que Google ou Skype, il est permis d'espérer trouver la société idéale pour jouer le rôle d'organisme de confiance.
Mon projet risque peut être d'être dérangeant pour certaines sociétés telles que Verisign, qui pourraient y voir une certaine concurrence. J'ajouterai que mon projet ne se limite qu'à la certification de l'enregistrement de l'auteur d'une information venue du web et que cela n'a pas encore été réalisé. La messagerie ClassicSys donne toutes les assurances de faisabilité et de sécurité pour autant que les clefs secrètes soient protégées physiquement, le projet proposé utilise les mêmes ressources et doit être considéré comme valable.
L'échange d'informations sécurisées sur la toile, et gratuitement, n'est ce pas un plus ? Voyez-vous des objections à la faisabilité de l'invention que je propose ?
Toujours intéressé à vous lire.
Grapy (Adresse classicsys 0E501000000) |
|
|
|
|
|
BlDragon
Inscrit le: 11 Juin 2007
Messages: 246
Statut : Absent
|
| Posté le:
08 Déc. 2008 - 19:47 |
|
|
Bonjour Grapy,
Tout d'abord, je dois signaler que je ne suis pas un féru de cryptographie mais je vais quant même vous donner mon avis (avec mes connaissances de profane dans ce domaine).
J'ai étudié votre analyse introductive et j'y ai isolé ces postulats :
a) La cryptographie peut se révéler comme étant la meilleure ou la pire des nouvelles technologies
b) La méthode conventionnelle (PGP) pour correspondre en mode chiffré consiste à générer une paire conjuguée de clefs, l'une publique et l'autre privée.
c) La surveillance des messages suspects nécessite leur interception et déchiffrage tout en respectant la confidentialité du reste des courriers.
d) Par une vue de l'esprit, on peut imaginer la réalisation d'un organisme détenant toutes les clefs privées conjuguées aux clefs publiques appartenant aux internautes, mais cette façon de voir les choses est loin d'être réaliste. Peut-on imposer à 999.999 honnêtes internautes l'obligation de communiquer leurs clefs privées (sans savoir si elles seront utilisées ou non, ni à quelles fins) pour atteindre un internaute mal intentionné, lequel craignant de voir sa messagerie déchiffrée, utilisera une autre clef.
Votre Solution :
Une autre méthode consiste à charger un organisme de confiance (TAS: Trust Authority Server) de distribuer les clefs secrètes privées en donnant l'assurance que la protection de la vie privée des internautes est assurée et qu'aucune dérive ne peut se produire. Le système ClassicSys veut répondre à cet objectif.
La banque de données du serveur TAS ne comprend que les données relatives à l'identité des affiliés et leurs numéros d'affiliation. Pour toute demande d'une clef de session, le TAS recalcule les clefs privées des deux correspondants en fonction de leurs numéros d'affiliation, et, à partir de ce résultat, il calcule la clef de session.
******
Mathématiquement, votre Méthode est très intéressante, je suis le premier à le reconnaître Et comme vous le mentionniez, il est indiscutable que cela apporte un + par rapport a du PGP.
Vous allez vous demandez pourquoi ai-je collé cet article alors, puisque finalement ca ne remet pas en question la validité scientifique de vos travaux ?
Je vais donc vous répondre : pour aborder le sujet de la finalité économique de votre méthode et de son intérêt purement humain.
Utilité humaine :
1) Ca permettra de pouvoir intercepter le courrier des terroristes.
R : non, même si le systeme se diffusait globallement, un terroriste n'aurait qu'à utiliser votre messagerie en codant lui-même (ou avec un petit plugin) ses messages en PGP (ou un autre algorithme de cryptage).
2) Ca permettra d'assurer une tracabilité de l'information :
R : Si j'enregistre un faux nom et une fausse adresse sur votre systeme et que j'emet a partir d'un cybercafé ou de plusieurs proxys en cascade, qu'en est-il de la tracabilité ?
Maintennant, je vais reprendre les questions/réponses que vous avez émis dans votre conclusion :
1) que les diverses solutions avancées vont à l’encontre des libertés individuelles.
Réponse : La vie privée est sacrée et nul ne le conteste mais la société a aussi l’obligation de protéger l’individu contre la criminalité. Le recouvrement d’un message suspect avec le système ClassicSys n’est possible que par le détenteur de l’affiliation dédiée aux Services de Sécurité Nationale et ce recouvrement est obtenu dans un laps de temps très court, de l’ordre de la seconde ;
-> reprennez mon point 1 et 2, est-ce que vous croyez que le flicage de l'information va empêcher les "criminels" de sévir. J'y vois + de désavantages que d'avantages pour l'internaute honnête. Votre système ne garantit en aucune manière une tracabilité ou un contrôle de l'information pour une personne voulant volontairement cacher ses informations. (et avec un minimum de connaissance en informatique).
2) que les clefs secrètes entre les mains d’un tiers, même confiant, risquent fort de tomber entre les mains de personnes mal intentionnées.
Réponse : Comme, dans le système ClassicSys, les messages de l’expéditeur au destinataire, sont chiffrés chaque fois avec une nouvelle clef aléatoire, la demande d’un recouvrement n’est valable que pour un seul message
-> reprennez mon point 1, si j'ai codé mon message en PGP pour ensuite utiliser votre messagerie, le recouvrement ne donnera absolument rien.
- 3) que l’utilisation d’un système cryptographique permettant le recouvrement des messages constitue une charge financière pour les utilisateurs des messageries chiffrées.
Réponse : L’utilisation du système ClassicSys est, et restera, entièrement gratuite. De plus, si le fournisseur d’accès à Internet est en même temps le gestionnaire du TAS, les frais relatifs à l’hébergement de la clef auprès d’un certificateur d’identité peuvent être évités.
-> je n'ai rien a redire sur ce dernier point, mais c'est - interessant que la clée USB de Bull Evidian dans l'article que j'ai cité. Au - cette clé aura le mérite de garantir que mes informations ne seront fliquées par personne même si je dois y mettre le prix.
Et votre méthode est d'ailleurs très intéressante de ce point de vue la : si elle se démocratise, la demande pour ce genre de clé (qui neutralise totalement votre système) risque de croître.
On pourrait même imaginer lancer un nouveau produit : la clé Anti-Sed à prix démocratique. -> on introduit la clé et de manière invisible votre courrier sortant et entrant est crypté/décrypté localement.
Maintenant parlons de la rentabilité pure et simple :
a) Le système peut être facilement contourné par les personnes mal intentionnées qui ont des connaissances minimales dans ce domaine.
b) Les seules personnes qui seront fliquées avec efficacité seront les personnes honnêtes et ne voulant pas délibérément camoufler leurs informations.
Pour fliquer les mails, le système n'est pas indispensable.
Ca apporte donc juste la possibilité de ne pouvoir décrypter les mails que 1 par 1 pour préserver la confidentialité de l'ensemble du courrier si j'ai bien compris. C'est un prétexte discutable pour dire que dorénavant"Big brother is watching you" de manière officielle  .
A choisir, je préfèrais l'approche de google qui offrais quelques Gigas d'hébergement gratuit en échange de la permission pour ses robots d'analyser le courrier de l'affilié pour lui fournir de la publicité. (mais en certifiant qu'il n'y aurait pas de lecture humaine).
Mon anti-virus (mis à jour tous les jours) me garantis de toutes les manières que les virus sont éradiqués dès la réception du message (quant le serveur ne s'en charge pas lui-même).
Quant à mon compte hotmail, généralement, il n'accepte plus que les e-mail de personnes que j'ai moi-même sélectionné comme de confiance.
Dans l'idéal idéalité, votre système devrais être adopté globalement (et ce dans tous les pays du monde, tous serveurs confondu) pour être réellement efficace, ce qui n'est pas près d'arriver au vu des contraintes que votre solution impose.
Sans compter les milliers d'ordinateurs zombies qui héberge un smtp frauduleux dans le monde ou les millions de faux compte hotmail,Gmail et autres.
Cordialement,
Bl |
|
|
|
|
|
Grapy
Inscrit le: 05 Déc. 2008
Messages: 8
Statut : Absent
|
| Posté le:
10 Déc. 2008 - 12:15 |
|
|
Bonjour Bi
Votre réponse concernant les finalités économiques et problèmes humains.
Vous dites:
- Ca permettra de pouvoir intercepter le courrier des terroristes.
R : non, même si le systeme se diffusait globallement, un terroriste n'aurait qu'à utiliser votre messagerie en codant lui-même (ou avec un petit plugin) ses messages en PGP (ou un autre algorithme de cryptage).
Je suis d'accord, mais parfois les personnes malveillantes ignorent qu'on puisse les suivre à la trace comme l'exemple suivant. Le 14/04/06 JOE un jeune de 17 a été poignardé à la gare centrale de Bruxelles. Le coupable, un polonais, a pu être repairé en Pologne et arrêté grâce à son téléphone mobil.
- On pourrait même imaginer lancer un nouveau produit : la clé Anti-Sed à prix démocratique. -> on introduit la clé et de manière invisible votre courrier sortant et entrant est crypté/décrypté localement.
Ma réponse: élucubration délirante. Si vraiment vous penser que cela puisse se faire, donnez moi plus de détails à ce sujet.
- Si j'enregistre un faux nom et une fausse adresse sur votre systeme et que j'emet a partir d'un cybercafé ou de plusieurs proxys en cascade, qu'en est-il de la tracabilité ?
Ma réponse: C'est un scénario un peu enfantin. Vous n'avez pas pris connaissance de mon texte (voir: http://fr.wikipedia.org/wiki/Utilisateur:Emile_Musyck ) Il y a peut-être une solution technologique laquelle consiste à introduire le principe de la traçabilité de l’information et n’accepter qu’un fichier puisse entrer dans un ordinateur qu’à la condition de pouvoir vérifier l’enregistrement de l’identité de l’expéditeur auprès d’organismes reconnus comme organisme de confiance et cette possibilité doit être impérativement gratuite. (Voir introduction "Les communications sécurisées comme je les vois"). Vous verrez plus loin dans le texte: La gestion de ClassicSys s’effectue à distance et le gestionnaire a pour mission d’enregistrer les affiliés pour lesquels il a pu vérifier que l’identité communiquée à l’affiliation correspond exactement à celle se trouvant dans un document officiel, tel qu’un extrait de compte. Si vous prenez une affiliation à ClassicSys, vous serez qualifié comme un affilié non enregistré. Si vous donnez une preuve de votre identité, vous serez par la suite qualifié comme affilié enregistré.
- Mon anti-virus (mis à jour tous les jours) me garantis de toutes les manières que les virus sont éradiqués dès la réception du message (quant le serveur ne s'en charge pas lui-même).
Ma réponse: Dans la bataille le glaive contre le bouclier, le bouclier sera toujours une bataille en retard sur le glaive. Pour ma part, je travaille pratiquement toujours en MAC et là, il n'y a pas de virus à craindre.
Amicalement,
Grapy |
|
|
|
|
|
BlDragon
Inscrit le: 11 Juin 2007
Messages: 246
Statut : Absent
|
| Posté le:
11 Déc. 2008 - 01:09 |
|
|
En réponse à vos réponses :
| Citation: |
Votre réponse concernant les finalités économiques et problèmes humains.
Vous dites:
- Ca permettra de pouvoir intercepter le courrier des terroristes.
R : non, même si le systeme se diffusait globallement, un terroriste n'aurait qu'à utiliser votre messagerie en codant lui-même (ou avec un petit plugin) ses messages en PGP (ou un autre algorithme de cryptage).
Je suis d'accord, mais parfois les personnes malveillantes ignorent qu'on puisse les suivre à la trace comme l'exemple suivant. Le 14/04/06 JOE un jeune de 17 a été poignardé à la gare centrale de Bruxelles. Le coupable, un polonais, a pu être repairé en Pologne et arrêté grâce à son téléphone mobil.
|
Oui, j'ai d'ailleur toujours été fasciné par le laxisme que les opérateurs de mobile confère à des personnes n'ayant aucune authorité ou légitimité pour en intercepter le contenu. (Cadre supérieur de compagnie de mobile, Entreprise privée ou publique, Gouvernement, etc).
Enfin bon, dans votre cas, ca à servis pour une juste cause. Mais un organisme de confiance est pour moi aussi "corruptible" que n'importe quel individu ayant quelque chose à vendre sur cette terre.
Est-il indispensable de globaliser ca aux E-mail sachant que le GSM est + facilement (et courament) utilisé par une personne en fuite ?
Vous remarquerez aussi qu'un des arguments commerciaux mis en avant par skype était la "confidentialité" de ses connections.
| Citation: |
On pourrait même imaginer lancer un nouveau produit : la clé Anti-Sed à prix démocratique. -> on introduit la clé et de manière invisible votre courrier sortant et entrant est crypté/décrypté localement.
Ma réponse: élucubration délirante. Si vraiment vous penser que cela puisse se faire, donnez moi plus de détails à ce sujet.
|
Ca me semble être de la base, une clée USB, un ASIC (optionnel) pour les opérations de chiffrement/déchiffrement, un peu de mémoire, 1 resident qui comprend 1 GUI et qui se charge d'intercepter les connections entrantes et sortantes.
Le Gui permet d'échanger via une connection sécurisé (par exemple en SSL) les clés (lié a un email) entre utilisateurs. (par une identification IP+Email+Mot de passe par exemple), Chaque correspondance étant stocké dans la mémoire de la clé.
Le reste étant geré par la clé et le résident qui établis les correspondances entre les Emails lors de l'envois/réception(chiffrement/déchiffrement) d'Email et les synchronisations de clés au besoin.
On pourrait même adjoindre au résident, une option pour rejeter le contenu de tout email n'étant pas dans la liste. On obtiendrais le même résultat que Classicsys au niveau de la sécurité. (la confidentialité absolue en +).
C'est une des façons de faire, on peut bien entendu intellectualiser la méthode.
Une clé USB n'est même pas nécessaire (mais + sécurisée et + pratique donc + vendable), un petit plugin suffit.
| Citation: |
Si j'enregistre un faux nom et une fausse adresse sur votre systeme et que j'emet a partir d'un cybercafé ou de plusieurs proxys en cascade, qu'en est-il de la tracabilité ?
Ma réponse: C'est un scénario un peu enfantin. Vous n'avez pas pris connaissance de mon texte (voir: http://fr.wikipedia.org/wiki/Utilisateur:Emile_Musyck ) Il y a peut-être une solution technologique laquelle consiste à introduire le principe de la traçabilité de l’information et n’accepter qu’un fichier puisse entrer dans un ordinateur qu’à la condition de pouvoir vérifier l’enregistrement de l’identité de l’expéditeur auprès d’organismes reconnus comme organisme de confiance et cette possibilité doit être impérativement gratuite. (Voir introduction "Les communications sécurisées comme je les vois"). Vous verrez plus loin dans le texte: La gestion de ClassicSys s’effectue à distance et le gestionnaire a pour mission d’enregistrer les affiliés pour lesquels il a pu vérifier que l’identité communiquée à l’affiliation correspond exactement à celle se trouvant dans un document officiel, tel qu’un extrait de compte. Si vous prenez une affiliation à ClassicSys, vous serez qualifié comme un affilié non enregistré. Si vous donnez une preuve de votre identité, vous serez par la suite qualifié comme affilié enregistré. |
J'ai déja répondu dans mon précédent message :
Dans l'idéal idéalité, votre système devrais être adopté globalement (et ce dans tous les pays du monde, tous serveurs confondus) pour être réellement efficace, ce qui n'est pas près d'arriver au vu des contraintes que votre solution impose.
L'avancée pour un ISP serait de voir les mails cryptés (alors qu'ils ne l'étaient pas) décryptables 1 par 1 pour garantir une "confiance numérique".
| Citation: |
Mon anti-virus (mis à jour tous les jours) me garantis de toutes les manières que les virus sont éradiqués dès la réception du message (quant le serveur ne s'en charge pas lui-même).
Ma réponse: Dans la bataille le glaive contre le bouclier, le bouclier sera toujours une bataille en retard sur le glaive. Pour ma part, je travaille pratiquement toujours en MAC et là, il n'y a pas de virus à craindre.
|
Est-il necessaire d'ajoindre un glaive en plastique au bouclier de bronze pour se battre contre d'autres glaives en bronze ?
Si il faut pour cela sacrifier tous ses vêtements, je ne suis pas convaincu.
| Citation: |
Mon projet risque peut être d'être dérangeant pour certaines sociétés telles que Verisign, qui pourraient y voir une certaine concurrence. J'ajouterai que mon projet ne se limite qu'à la certification de l'enregistrement de l'auteur d'une information venue du web et que cela n'a pas encore été réalisé. La messagerie ClassicSys donne toutes les assurances de faisabilité et de sécurité pour autant que les clefs secrètes soient protégées physiquement, le projet proposé utilise les mêmes ressources et doit être considéré comme valable.
|
De l'antivirus à la solution globale de sécurité
Confrontées chaque jour à de nouvelles menaces, les entreprises ne se contentent plus de simples antivirus. Elles optent désormais en masse pour des solutions de sécurisation globale de leur système d'information.
Christiène Brancier , Décision Distribution (n° 707), le 20/02/2007 à 12h15
Saturé et hautement concurrentiel. Tels sont les deux qualificatifs le plus souvent employés par les éditeurs de solutions antivirales pour qualifier le marché sur lequel ils évoluent. « Plus de 97 % des entreprises françaises sont équipées d'une solution antivirus » , explique Christian Pijoulat, directeur général France et Europe du Sud de Sophos. « Ce marché est loin d'être nouveau et les projets des clients portent davantage sur des problématiques de renouvellement » , ajoute Stéphane Pacalet, directeur commercial de BitDefender. Il n'empêche ! Le marché attire chaque année de plus en plus d'éditeurs et les ventes continuent de croître à un rythme soutenu de 15 à 17 % par an. « En France, le marché de la sécurité est évalué aujourd'hui à plus d'un milliard d'euros, dont 230 millions proviennent directement de la vente d'antivirus » , note Éric Beaurepaire, directeur marketing France et Europe du Sud de Symantec. D'ici à 2009, ce marché devrait même approcher les 2 milliards d'euros, estime-t-on chez IDC.
Suite sur :
http://www.01net.com/editorial/341622/a ... -securite/
Amicalement,
BL |
|
|
|
|
|
Grapy
Inscrit le: 05 Déc. 2008
Messages: 8
Statut : Absent
|
| Posté le:
12 Déc. 2008 - 00:58 |
|
|
vous dites:
Oui, j'ai d'ailleurs toujours été fasciné par le laxisme que les opérateurs de mobile confère à des personnes n'ayant aucune authorité ou légitimité pour en intercepter le contenu. (Cadre supérieur de compagnie de mobile, Entreprise privée ou publique, Gouvernement, etc). Mais un organisme de confiance est pour moi aussi "corruptible" que n'importe quel individu ayant quelque chose à vendre sur cette terre.
Réponse:
Les logiciels du serveur de l'organisme de confiance pourraient être réalisés en vue de pouvoir retrouver les clefs secrètes données aux affiliés et ainsi éventuellement déchiffrer le contenu des mails chiffrés pour autant qu'on puisse intercepter un mail évoluant sur la toile. Mais on peut aussi imaginer le contraire, et cela dans le but de rassurer les utilisateurs internautes. Le logiciel du serveur ClassicSys, comme il est utilisé actuellement, a été conçus pour que le gestionnaire administratif, ou n'importe qui d'autre, ne puisse pas prendre connaissance des clefs secrètes des affiliés.
Lorsqu'une clef secrète d'un nouvel affilé a été créée par TA principal suite à une demande du TA serveur, cette clef est immédiatement chiffrée pour la liaison du TA principal au TA serveur et ensuite déchiffré par le TA serveur pour être de nouveau chiffrée pour la liaison du serveur à l'internaute. La clef secrète proprement dite n'a existé que pendant quelques nanosecondes dans le serveur et donc il a été impossible pour un opérateur de prendre note de la clef secrète.
Dans une version antérieure (années 90) de ClassicSys, il avait été prévu un chemin by-pass uniquement utilisable par une seule adresse d'utilisateur, adresse donnée aux Services de la Sécurité Nationale pour pouvoir connaissance d'une seule clef secrète. Chaque demande de recouvrement d'une seule clef faisait l'objet d'une inscription dans une mémoire du TA serveur dans laquelle, l'opérateur du Service de la Sécurité Nationale devait justifier la demande de la clef. Une fois la justification introduite, l'opérateur n'était plus en mesure de modifier la justification de sa requête. Ceci avait été prévu pour éviter tout abus de la part de l'opérateur du Service de la Sécurité Nationale. Cette version avait été proposée et expérimenté au cours d'une réunion chez un responsable au Ministère de la Justice à Bruxelles par un membre du corps professoral de l'Université Libre de Bruxelles et devait ainsi servir comme argument pour acceptation de l'utilisation d'une messagerie avec chiffrement des mails. Comme beaucoup de propositions faites à des responsables politiques, ma proposition a fait long feu et il n'a plus été question dans les versions suivantes de ClassicSys de permettre la possibilité de prendre connaissance des clefs secrète par qui que ce soit d'autre. Il faut dire qu'à cette époque, la sécurité informatique en France était encore limitée à 40 bits.
Vous dites:
Est-il necessaire d'ajoindre un glaive en plastique au bouclier de bronze pour se battre contre d'autres glaives en bronze ? Si il faut pour cela sacrifier tous ses vêtements, je ne suis pas convaincu.
Réponse:
Je ne sais pas si vous m'avez bien compris. Quand je dis que le glaive est en retard d'une bataille sur le bouclier, je veux dire par là qu'un nouveau virus (le glaive) qui vient d'apparaître, peut occasionner des dégâts aussi longtemps qu'on n'a pas mis à jour les antivirus (le bouclier). C'est parce qu'on a détecté la présence d'un nouveau virus que les responsables des antivirus mettent vite à jour les corrections à exécuter et il faut, pour bien faire, que les internautes mettent à jour chaque jour les programmes d'antivirus. Il y aura toujours un laps de temps pendant lequel on risque d'être contaminé par un virus sans se rendre compte.
Bien à vous
Grapy |
|
|
|
|
|
Grapy
Inscrit le: 05 Déc. 2008
Messages: 8
Statut : Absent
|
| Posté le:
17 Déc. 2008 - 22:57 |
|
|
L'article "Internet au bord de l'explosion" de la revue "Science et Vie" Décembre 2008 de Vincent Nouyrigat est fort intéressant à lire. La Traçabilité de l'information est au coeur du sujet et je pense que l'application que j'ai développée dans mon exposé pourrait être d'une certaine utilité. Qu'en pensez vous? |
|
|
|
|
|
BlDragon
Inscrit le: 11 Juin 2007
Messages: 246
Statut : Absent
|
| Posté le:
18 Déc. 2008 - 00:10 |
|
|
|
|
|
|
Grapy
Inscrit le: 05 Déc. 2008
Messages: 8
Statut : Absent
|
| Posté le:
06 Fév. 2009 - 11:11 |
|
|
Bonjour,
Il y avait l'autre soir (04/02/09 17h 45) sur la chaîne France 5
l'émission "C dans l'air, Peut-on truquer les élections". (
http://www.france5.fr/c-dans-l-air/inde ... ubriq...).
L'animateur, Yves Calvi et les quatre autres participants, étaient
d'accord pour rejeter d'office la procédure des votes par Internet. Je
ne partage pas cette opinion.
On reproche à la procédure des votes par Internet qu'i n'y a pas
d'isoloir au domicile de l'électeur, et que de ce fait, on ne peut pas
garantir, ni le secret, ni la participation d'une autre personne au
moment du vote. Ceci est une vue fort subjective.
Pour contrer cette objection, je propose l'utilisation d'une caméra
webcam. Il faut faire en sorte que, durant toute la procédure du vote
par l'électeur, il y ait une une continuité de la vision du temps
présent, du numéro d'identification de l'ordinateur, de
l'identification visuelle de l'électeur par la caméra et que de plus,
durant toute la succession des prises de vue, le fichier du vote
proprement dit puisse être intercalé entre deux vues. Il est ainsi
possible de vérifier que l'électeur est bien seul devant son
ordinateur et que personne vient interférer sur son activité. Cette
procédure est parfaitement sure si toutes les prises de vue sont
chiffrées et que le vecteur hash résultat d'une vue est reportée sur
la vue suivante. Dans ces conditions, il n'est pas possible
d'introduire ou soustraire une autre vue ni un autre texte relatif au
vote. Les chiffrements sont effectués suivant le principe de la
traçabilité (invention 139) dont j'ai fait état dans le site (voir:
http://www.invention-europe.com/MDForum ... -t-847.htm ).
A la réception des différents chiffrements à l'ordinateur serveur du
bureau de vote venant d'un même électeur, il est possible de vérifier
l'ordre de succession des chiffrements à l'aide des vecteurs hash de
chaque bloc chiffré. Ici il y a la nécessité de séparer les éléments
qui servent à vérifier, d'une part l'identité de l'électeur, et
d'autre part, ceux du vote proprement dit. On peut très bien imaginer
une vérification de la succession des différents éléments et, la
vérification étant faite, le logiciel effectue la suppression des
éléments de vérification. Il n'est plus possible à ce moment de
trouver la relation qui lie un fichier d'identification d'un électeur
à un fichier de vote d'un électeur. Le principe du secret du vote est
ainsi protégé. On suppose que les logiciels du serveur ont été
examinés à la loupe par des experts des différents partis qui
participent aux élections. Je ne crois pas qu'il faille mettre des
scellés sur les ordinateurs du serveur du bureau de vote, en effet, il
est parfaitement possible de calculer le vecteur hash des logiciels
sensibles et de les vérifier contradictoirement avant et après les
dépouillements.
Au cours de ma vie professionnelle proprement dite au Centre
Nucléaire de Mol (Belgique), j'ai eu des contacts avec des collègues
de l' IAEA, (International Atomic Energy Agency de Vienne: projet
Safeguard) qui réalisaient l'instrumentation pour le contrôle des
matières stratégiques. Ces contrôles étaient exécutés à distance par
des caméras. Si on estime que des caméras peuvent être utilisées pour
le contrôle des matières fissiles à distance, pourquoi ne pourrait-on
pas les utiliser également pour vérifier le bon fonctionnement des
opérations de vote au domicile de l'électeur? L'idée est parfaitement
faisable, mais il faut savoir comment effectuer à bon escient la
traçabilité des information mais cela nécessite quelques bonnes
réflexions.
Le principe de la traçabilité des informations suivant mes idées
(voir: http://fr.wikipedia.org/wiki/Utilisateur:Emile_Musyck )
pourrait être en opposition aux vues de nombreux détracteurs, non
seulement parmi les réalisateurs de virus et ceux des antivirus, mais
également par toutes les sociétés qui effectuent les authentifications
des transferts financiers. Les clefs de chiffrement sont attribuées
par un organisme de confiance gouvernemental et doivent être
gratuites.
Bien à vous,
Emile Musyck |
|
|
|
|
|
|
|
|
Questions/Réponses
Rechercher
Groupes des membres
Profil
Sujets observés
Forum observés
Catégorie secondaire
